사실관계
우버는 영국과 포르투갈에 거주하는 운전자 4명의 계정을 부정행위를 이유로 영구 비활성화했다. 운전자들이 받은 통지에는 비활성화가 영구적이며 되돌릴 수 없다는 내용이 있었으나, 어떤 행위가 문제 되었는지는 구체적으로 적혀 있지 않았다. 운전자들은 EU 일반개인정보보호규정(GDPR) 제15조 제1항 (h)호에 따라 자동화된 의사결정의 존재와 그 논리에 관한 정보를 요구했다. 우버는 리스크팀 직원이 사안마다 검토했고 부정행위 탐지 방법은 영업비밀이라며 요구를 거절했다. 암스테르담 지방법원은 2021년 3월 11일 의미 있는 인적 개입이 있었다는 이유로 운전자들의 신청을 기각했고, 운전자들은 이에 불복해 항소했다.
쟁점
첫 번째 쟁점은 계정 비활성화 결정이 GDPR 제22조에서 말하는 전적으로 자동화된 처리에 근거한 결정에 해당하는지였다. 제15조 제1항 (h)호의 추가 정보 제공 의무가 바로 이러한 결정에 적용되므로 이 판단이 결정적이었다. 두 번째 쟁점은 우버가 영업비밀 보호나 네덜란드 GDPR 시행법(UAVG) 제41조의 예외를 들어 정보 제공을 전면 거부할 수 있는지였다. 마지막으로 법원은 정보 제공 의무가 인정될 경우 그 정보에 무엇이 담겨야 하는지, 그리고 우버가 시스템의 판단 과정을 어느 정도까지 구체적으로 설명해야 하는지를 정해야 했다.
판단
항소법원은 운전자 4명 중 3명에 대한 결정이 전적으로 자동화된 처리에 근거했다고 판단했다. 리스크팀의 관여에 관한 우버의 설명만으로는 그 검토가 순전히 형식적인 절차 이상이었다는 점이 드러나지 않았다. 계정이 비활성화되기 전에 우버와 직접 면담한 나머지 1명에 대해서는 의미 있는 인적 개입이 있었다고 보았다. 법원은 영업비밀을 이유로 정보를 전혀 제공하지 않는 것은 비례원칙에 맞지 않는다고 판단했다. 이에 따라 우버에 1개월 안에 결정 과정에서 고려된 요소와 각 요소의 가중치를 집계 수준에서 포함한, 판단 논리에 관한 유의미한 정보를 제공하도록 명했다. 이를 이행하지 않으면 하루 4,000유로의 이행강제금(dwangsom)이 부과된다.
의의
이 판결은 알고리즘에 의한 계정 비활성화에서 사람의 검토가 언제 실질적인 개입으로 인정되는지를 구체적 사실관계에 비추어 판단했다. 법원은 직원이 관여했다는 주장만으로는 부족하다고 보고, 그 검토가 형식적 절차 이상이었다는 점이 드러나야 한다고 했다. 또한 제15조 제1항 (h)호의 정보는 정보주체가 결정을 이해하고 다툴 수 있을 만큼 고려 요소와 가중치를 담고 있어야 한다는 점을 보여 주었다. 플랫폼이 자동화된 시스템으로 노무 제공자를 관리하는 곳이라면 같은 문제가 제기될 수 있다.
관련 절차
같은 날 항소법원은 병행 사건인 ECLI:NL:GHAMS:2023:796(우버)과 ECLI:NL:GHAMS:2023:804(올라)에서도 우버의 배차 매칭, 사전 요금 산정, 평균 평점과 올라의 부정행위 확률 점수, 수익 프로필을 정보 제공 의무의 대상이 되는 자동화된 의사결정으로 보았다. 암스테르담 지방법원은 2023년 10월 5일 우버가 명령을 이행하지 않았다고 보고 58만 4,000유로의 이행강제금을 지급하라고 판단했다. 제15조 제1항 (h)호의 범위는 이후 유럽사법재판소(CJEU)의 Dun & Bradstreet Austria 판결에서도 다루어졌다(별도 항목).